攻击发现与紧急响应
sentinel, Lab
v3.0
STABLE
DDoS
流量清洗
应急响应
业务保底
CDN
场景 2 — 阶段一：攻击发现与紧急响应
攻击检测指标
| 指标 |
说明 |
| 带宽突增 |
入向流量突增至基线 10-100 倍 |
| 连接数异常 |
SYN / UDP 连接数暴增 |
| 服务响应劣化 |
延迟升高 / 超时 / 丢包率飙升 |
| 运营商告警 |
上游 ISP 通知异常流量 |
攻击快速画像（前 5 分钟内确认）
| 信息项 |
确认内容 |
| 攻击规模 |
峰值带宽 / 每秒包数 (PPS) |
| 攻击类型 |
流量型 / 协议型 / 应用层 / 混合 |
| 攻击目标 |
IP / 域名 / 端口 / URL |
| 源地址特征 |
真实源 / 伪造源 / 僵尸网络 |
| 持续趋势 |
递增 / 恒定 / 脉冲式 |
紧急响应动作
- 通知运营商 / CDN：联系上游 ISP 启动黑洞路由，通知 CDN / 云清洗服务商
- 启动流量清洗：切换 DNS 到清洗中心，BGP FlowSpec 下发清洗规则
- 启动应急预案：通知安全团队 / 运维 / 管理层，进入业务保底模式
- 日志实时采集：NetFlow / sFlow / PCAP 全量采集，保留攻击证据用于溯源
- 业务优先级确认：确定核心业务保底 SLA 目标
升级矩阵
| 规模 |
响应级别 |
通知范围 |
| <10G |
L2 一般 |
安全 + 运维 |
| 10-100G |
L1 严重 |
+ 技术总监 |
| 100G-1T |
L0 紧急 |
+ CTO / CEO |
| >1T |
L0 极危 |
+ 运营商 + 监管 |
![]()
100%